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REZUMAT 


Consiliul Uniunii Europene a publicat la 21 aprilie 2016 versiunea finală a Directivei privind securitatea reţelelor 
şi a sistemelor informatice (NIS). În timp ce aceasta trebuie să fie semnată în mod oficial de Parlamentul European 
în această vară, textul în sine a fost convenit de trei instituţii ale UE şi nu este de aşteptatsă se schimbe. Statele 
membre sunt obligate să îl transpună în legislaţia naţională în termen de 21 de luni de la data adoptării sale. 
Pentru a veni în sprijinul acestui proces, în anexă veţi găsi un ghid de bune practici privind modul de punere în 
aplicare a aspectelor relevante pentru industria tehnologiilor şi pentru a consfinţi în mod efectiv intenţiile 
legiutorilor. 


Directiva NIS a Uniunii Europene este prima legislaţie paneuropeană privind securitatea cibernetică şi se 
concentrează pe consolidarea autorităţilor cibernetice la nivel naţional, pe creşterea coordonării între acestea şi 
pe introducerea cerinţelor privind securitatea pentru sectoarele cheie ale industriei. 


Orice legislaţie naţională de punere în aplicare nu trebuie să piardă din vedere cele două obiective principale ale 
Directivei: (1) asigurarea unuinivel ridicat de securitate cibernetică a infrastructurilor critice ale ţării; (2) stabilirea 
unui mecanism de cooperare eficace între statele membre ale UE pentru a promova acest obiectiv. Resursele ar 
trebui să fie, înainte de toate, dedicate realizării acestor două obiective importante. 


Pentru industria tehnologiilor, prevederile privind aşa-numiţii furnizori de servicii digitale (DSP-uri) prezintă un 
interes deosebit. Directiva precizează în mod clar că există diferenţe fundamentale între operatorii de servicii 
esenţiale (OES-uri) şi DSP-uri. Într-adevăr, aceştia din urmă nu sunt consideraţi ca infrastructură critică ca atare. 
După cum recunoaşte legislaţia, un incident cu impact asupra acestor servicii digitale ar reprezenta un nivel 
semnificativ mai mic de risc la adresa securităţii economice a unei ţări şi a siguranţei publice. Menţinerea acestei 
distincţii este esenţială pentru a desfăşura, de asemenea, în mod efectiv şi eficient, resurse limitate de autorităţi, 
care vortrebui să supravegheze şi să pună în aplicare normele. 


Drept urmare, susţinem acordarea unei atenţii deosebite domeniului de aplicare vizat al serviciilor în cauză şi 
solicităm factorilor din domeniul elaborării de politici ca în legislaţia naţională să nu supună cerinţelor de 
securitate alte sectoare decât cele identificate ca DSP-urişi OES-uri.. 


În ceea ce priveşte jurisdicţia, DSP-urile ar trebui să poată să se bazeze pe legea aplicabilă în ţara în care se află 
sediul lor principal, chiar şi în situaţiile în care sunt implicate autorităţi competente din mai multe ţări. În ceea ce 
priveşte supravegherea, autorităţile competente ar trebui să urmeze o abordare ex-post, spre deosebire de 
impunerea unei obligaţii generale de a supraveghea DSP-urile. Mai mult decât atât, acestea ar trebui să se 
concentreze asupra rezultatelor şi să menţină distincţia între OES-uri şi DSP-uri prin faptul de a nu le supunepe 
acestea din urmă cerinţelor care nu sunt prevăzute de Directivă, cum ar fi auditul şi instrucţiunile obligatorii. 
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Măsurile de securitate privind DSP -urile ar trebui să fie diferite de cele pentru OES-uri, având în vedere declaraţia 
din Directivă potrivit căreia acestea reprezintă un risc de securitate semnificativ mai mic. Factorii de decizie ar 
trebui să îndeplinească obiectivul privind armonizarea cu privire la aceste servicii, să recunoască standardele 
internaţionale existente în întreprinderile din domeniu, să evite mandatele tehnologice şi să respecte dreptul 
DSP-urilor consfințit în Directivă de a defini cele mai potrivite măsuri de securitate pentru sistemele proprii. 
Raportarea incidentelor ar trebui să fie și ea armonizată pe cât posibil la nivel european, ar trebui să se 
concentreze asupra incidentelor cu impact asupra continuității serviciului, să respecte flexibilitatea în calendarul 
de notificare şi să creeze un mediu de încredere, care să încurajeze schimbul de informaţii, fără a expune partea 
care face notificarea unuinivel crescut de răspundere 


Măsurile impuse OES-urilor vor avea impact şi asupra altor industrii, deoarece măsurile de securitate şi raportarea 
incidentelor vor fi transferate în prevederile contractuale. Acest lucru este valabil în special pentru serviciile de 
cloud. Așadar, DSP-urile pot fi indirect supuse legilor naţionale ale clienţilor lor şi, prin urmare, suntem extrem de 
interesaţi să constatăm că măsurile de securitate recunoscute pe plan internaţional se aplică acestor servicii. De 
asemenea, propunem coordonare şi sinergii cât de extinse posibil între cerinţele de raportare atât cu privire la 
OES-uri, cât şi la DSP-uri, având în vedere că acestea din urmă sunt susceptibile de a face obiectul unei notificări 
duble. 


Directiva stabileşte ambiția de a atinge un nivel comun ridicat de securitate a reţelelor şi a sistemelor de 
informaţii, în vederea îmbunătăţirii funcţionării pieţei interne. Pentru a atinge acest obiectiv măreț, transpunerile 
naţionale ar trebui să se concentreze pe o abordare bazată pe riscuri, armonizată şi de nivel internaţional, care 
oferă actorilor din sectorul privat flexibilitatea de a se adapta la un peisaj al amenințărilor în continuă schimbare, 
permite autorităţilor cibernetice să concentreze resurse limitate asupra celor mai importante provocări şi 
recunoaşte că soluţia la o problemă fără frontiere trebuie să fie globală. Sperăm că acest ghid este un instrument 
util în vederea realizării acestui scop şi suntem încântați să răspundem la orice întrebări suplimentare pe care le 
puteţi avea. 
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Anexă: Ghid de bune practici pentru punerea în aplicare a Directivei NIS 


1. Furnizori de servicii digitale 
a) Domeniu de aplicare 


e Directiva stabileşte că pieţele online, motoarele de căutare online şi serviciile de cloud computing ar 
trebui să fie considerate furnizori de servicii digitale (DSP) şi, prin urmare, incluse în dom eniulde aplicare 
a Directivei. În timp ce prezenta este o Directivă de armonizare minimă (Articolul 2), este importantsă se 
menţină coerenţa în întreaga UE şi, prin urmare, statele membre nu ar trebui să supună alte sectoare 
decât cele identificate ca DSP-urisau ca operatori de servicii esenţiale (OES-uri) - astfel cum sunt definiţi 
la Articolul 3 - cerinţelor de securitate în legislaţia naţională. 


e Directiva prevede în mod explicit faptul că producătorii de hardware şi dezvoltatorii de software nu sunt 
OES-uri sau DSP-urişi, prin urmare, nu ar trebui să fie acoperiţi de legile naţionale de punere în aplicare 
a Directivei (Considerentul50). 


e Directiva exclude în mod explicit din domeniul piețelor online serviciile online care acţionează în calitate 
de intermediari pentru serviciile unor terţe părţi pentru care contractul de vânzare sau de servicii este în 


fond încheiat (de exemplu, site-uri de comparaţie) (Considerentul15). 


e Funcţiile de căutare limitate la conţinutulunuianumit website nu ar trebui să fie acoperite ca motoarele 
de căutare online, chiar dacă acestea fac uz de un furnizor extern (Considerentul 16). 


e Definiția unuiserviciu de cloud computing în conformitate cu Directiva depinde de resursele informatice 
partajate de mai mulţi utilizatori (Articolul 4(19)şi Considerentul 17). Având în vedere faptul că serviciile 
cloud private (spre deosebire de serviciile cloud publice) sunt dedicate unei singure organizaţii, acestea 
nu ar trebui să fie acoperite. 


e Directiva subliniază faptul că există diferenţe fundamentale între OES-uri şi DSP-uri, motiv pentru care 
DSP-urile sunt supuse unor reguli diferite (Considerentul 57). O astfel de distincţie ar trebui să fie 
menţinută la punerea în aplicare a Directivei. 


b) Jurisdicţie şi supraveghere 


e  Jurisdicţia cu privire la DSP-uritrebuie să fie acordată doar unui singur stat membru, în cazul în care 
operatorul are sediul principal în UE, care, în principiu corespunde locului în care îşi are sediul central în 
UE (Articolul 18.1 şi Considerentul 64). Noi susţinem că DSP-urile ar trebui să facă ele însele o astfel de 
alegere şiaceastă decizie să fie supusă revizuirii numai în cazul în care autorităţile competente o contestă 
în cadrul activităţilor de supraveghere ex-post. 


e În cazul în care DSP-urile dispun de sisteme de reţea şi de informaţii în ţări altele decât locul în care se 
află sediul lor principal, Articolul 17.3 prevede ca autorităţile competente să coopereze. Totuşi, din 
punctul de vedere al DSP-urilor, este important ca legea aplicabilă să rămână cea a ţării în care se află 
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sediul principal şi ca ei să răspundă exclusiv în faţa autorităţilor competente din acea jurisdicție, care va 
acţiona ca interlocutor al acestora. 


e Directiva subliniază faptul că DSP-urile sunt supuse unei supravegheri reactive ex post şi, prin urmare, 
autorităţile competente nu au nici o obligaţie generală de a supraveghea DSP-urile şi acestea vor lua 
măsuri numai în cazul în care li se pun la dispoziţie elemente de probă. (Articolul 17.1 şi Considerentul 
60). Aceste dispoziţii ar trebui să fie onoratela punerea în aplicare a Directivei. 


e Spre deosebire de OES-uri, în cazul DSP-urilor autorităţile pot doar să solicite informaţii şi să solicite DSP- 
urilor să remedieze orice erori. Directiva clarifică faptul că autorităţile nu au competenţe de audit şi că 
nu potemite instrucţiuni obligatorii. Aceste dispoziţii ar trebui respectate şi la nivel naţional. 


c) Cerinţe suplimentare 


e Securitatea DSP-urilor şi cerinţele de notificare fac obiectul armonizării maxime (Articolul 16.10). Se va 
considera că acest Articol se aplică produselor, serviciilor şi soluţiilor care alcătuiesc sistemele lor de reţea 
şi de informaţii. Drept urmare, nu ar trebui să fie necesare prevederi suplimentare, cum ar fi testarea 


produsului, în măsura în care produsele şi serviciile sunt utilizate în acest context. 
d) Măsurişi standarde de securitate 


e Măsurile de securitate pentru DSP-uriar trebui să fie mai reduse decât cele pentru OES-uri. DSP-urilear 
trebui să aibă libertatea să definească modulîn care acestea asigură securitatea şi modulîn care doresc 
să asigure protecţia sistemelorlor de reţea şi de informaţii, adecvată riscurilor prezentate (Considerentul 
49). 


e Măsurile de securitate ar trebui să fie orientate spre proces şi să se concentreze pe managementul 
riscului. Ele nu ar trebui să solicite ca produsele TIC să fie proiectate, dezvoltate sau fabricate într-un 
anumit mod (Considerentul 51). 


e Directiva subliniază faptul că statele membre nu impun niciun fel de cerinţe suplimentare de securitate 
privind DSP-urile (Articolul 16.10). 


e Cu toate acestea, aşteptăm indicaţii de la mai mulţi actori. Statele membre se vor asigura că măsurile 
prezentate în Directivă sunt adoptate (Articolul 16.1), ele pot încuraja utilizarea standardelorîn vederea 
aplicării (Articolul 19.1) şi pot discuta standardele cu Organizațiile Europene de Standardizare din cadrul 
Grupului de Cooperare (Articolul 11.3(h)). ENISA va acorda asistenţă cu privire la standardele 
corespunzătoare (Articolul 19.2) şi Comisia Europeană este însărcinată cu adoptarea actelor de punere 
în aplicare privind măsurile de securitate (Articolul 16.8). 


e  Avândîn vedere acest nivel de complicaţii şi beneficiile armonizării, recomandăm că procesul naţionalar 
trebui, în esenţă, să lase în seama actelor de punere în aplicare acceptarea măsurilor corespunzătoare, 
care, în orice caz, trebuie să fie finalizate în termen de un an de la adoptarea Directivei. Actele de punere 
în aplicare în sine nu ar trebui să aducă atingere capacităţii DSP-urilor de a defini măsurile de securitate 
cele mai potrivite pentru sistemele proprii. 
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e Articolul privind standardele permite menţionarea standardelor europene sau a celor acceptate la nivel 
internaţional (Articolul 19.1). Având în vedere maturitatea standardelor internaţionale în vigoare în acest 
domeniu, recomandăm că, în cazul în care există standarde adecvate, certificarea în baza unuia dintre 
ele (cum ar fi ISO 27001)artrebui să fie suficientă pentru conformarea cu cerinţele. 


e În orice caz, certificarea standard ar trebui să fie opţională, nu obligatorie. Articolul 19 subliniază faptul 
că orice standard poate fi doar „încurajat”, iar acest lucru ar trebui să fie „fără a impune sau fără a face 
discriminări în favoarea utilizării unui anumittip de tehnologie”. 


e) Raportarea incidentelor privind securitatea 


e Ca şi în cazul măsurilor de securitate, mai multe părţi joacă un rol în stabilirea modului de raportare a 
incidentelor în temeiul Directivei NIS. Statele membre trebuie să se asigure că DSP-urile notifică acele 
incidente de securitate care au un impact semnificativ asupra furnizării serviciului (care se află în 
domeniul de aplicare a Directivei) pe care îl furnizează (Articolul 16.3), Grupul de Cooperare este 
însărcinat cu discutarea modalităţilor de notificare (Articolul 11.3(m)) şi Comisia este însărcinată cu 


adoptarea actelor de punereîn aplicare (Articolele 16.8 şi 9). 


e Din nou, recomandarea noastră este ca transpunerile naţionale să lase procesul în seama actelor de 
punere în aplicare, din cadrul cărora actul de punere în aplicare privind pragul de notificare trebuie 


adoptat în termen de un an de la finalizarea Directivei. 


e În ceea ce priveşte tipurile de incidente care ar trebui să fie raportate, DSP -urile sunt însărcinate cu 
notificarea „oricărui incident care are un impact substanţial asupra furnizării serviciului [lor]” (Articolul 
16.3). În ceea ce priveşte punerea în aplicare a dispoziţiilor echivalente pentru operatorii de 
telecomunicaţii în conformitate cu Articolul 13a din Directiva-Cadru, noi considerăm că acest lucru ar 
trebui interpretat drept concentrare asupra continuității (sau disponibilităţii) serviciilor prestate. Cu alte 
cuvinte, mai degrabă ar trebui să fie raportate întreruperile care ating un anumit prag (care urmează să 
fie stabilit prin actele de punere în aplicare), decât să fie raportat orice alt tip de incident de securitate. 
Acest lucru are avantajul concentrării asupra incidentelor care ar putea avea un impact asupra economiei 
sau societăţii, minimizând în acelaşi timp (dar nu eliminând complet) suprapunerea cu cerinţele de 
notificare a încălcării datelor cu caracter personalcare rezultă din Regulamentul general privind protecţia 
datelor. 


e  Înplus, obligaţia de raportare pentru „Operatorii de servicii esenţiale” prevede faptul că aceşti operatori 
trebuie să notifice „incidente care au un impact semnificativ asupra continuității serviciilor esenţiale pe 
care le furnizează”, care pun, din nou, un accent clar pe continuitatea (sau disponibilitatea) serviciului. 
Colegislatorii au fost de acord că obligaţiile privind DSP-urile ar trebui să fie mai permisive decât cele 
privind OES-urile (a se vedea Considerentul49). Prin urmare, obligaţia DSP de raportarea incidentelor în 
baza NIS nu ar trebui să fie mai extinsă decât cea valabilă pentru OES; de fapt, ar trebui să fie şi mai 
restrictiv adaptată în ceea ce priveşte pragurile. Acest lucru, din nou, scoate în evidenţă faptul că 
raportarea incidentelor pentru DSP-uriar trebui să se limiteze la incidentele care ating un anumit prag şi 
afectează continuitatea/disponibilitatea serviciului şi nu la incidentele legate de integritatea sau 
confidenţialitatea datelor, care, într-o mare măsură, este deja acoperită de cerinţele de notificare conexe 


în conformitate cu reglementările GDPR şi elDAS. 


DIGITALEUROPE 
Rue de la Science, 14 - 1040 Bruxelles [Belgia] 
T. +32 (0) 2 609 53 10 F.+32 (0) 2 431 0489 


www.digitaleurope.org | infoQdigitaleurope.org | ODIGITALEUROPE 
Membru în registrul pentru transparenţă pentru Comisie: 64270747023-20 





DIGITALEUROPE 


e În ceea ce priveşte calendarul de notificare, apreciem flexibilitatea implicată de expresia privind 
raportarea „fără întârziere nejustificată” (Articolul 16.3). Punerea în aplicare nu ar trebui să conducă la 
termene limită rigide, deoarece incidentele variază în mod semnificativ în ce priveşte complexitatea. 
Termene de raportare uniforme ar conduce la raportare inexactă în cazul în care anvergura iniţială a 
sistemelor afectate este neclară şi ar afecta capacitatea echipelor de intervenţie în caz de incidente de a 
acorda prioritate intervenţiei în caz de incident şi nu raportării acestuia. 


e Aşa cum s-a discutat, incidentele de securitate care urmează să fie notificate în temeiul Directivei pot 
necesita, de asemenea, o notificare în conformitate cu legislaţia privind protecţia datelor, în funcţie de 
faptul dacă datele cu caracter personal sunt încălcate sau nu. Nu numai că acest lucru înseamnă 
raportarea aceluiaşi incident unor autorităţi diferite, dar aceste autorităţi pot fi chiar şi în diferite state 
membre, în funcţie de jurisdicţia aplicabilă DSP în conformitate cu cele două legi. Noi recomandăm ca 
statele membre să recunoască necesitatea şi să depună eforturi pentru a asigura o notificare unică a 
incidentelor şi să încerce să creeze canale de comunicare pentru a face schimb de informaţii relevante 
între ele, fără a aduce atingere confidenţialităţii afacerilor. 


e Autorităţile competente ar trebui să ia în considerare consecinţele legate de reputaţie şi implicaţiile 
comerciale pentru DSP-uri înainte de a face publice informaţiile cu privire la incidente. În plus, prin 
dezvăluirea incidentuluis-ar putea amplifica riscul de securitate. Prin urmare, înainte de orice divulgare, 
este importantă coordonarea cu actorii în cauză. 


e Directiva subliniază faptul că informaţiile care sunt considerate confidenţiale ar trebui să fie tratate ca 
atare (Considerentele 41, 59, Articolul 1.5). 


e Articolul 16.3 subliniază faptul că notificarea incidentului de securitate nu va expune partea care face 
notificarea la un nivel ridicat de răspundere. 


2. Operatori esenţiali 
a) Transferul în măsurile de securitate 


e  DSP-urile care au OES-uri drept clienţi vor fi supuse unor măsuri de securitate aplicabile, care vor fi 
transferate în negocierile contractuale decurgând din obligaţiile legale cu privire la operatorii esenţiali 
(Articolul 14.1). Ca atare, ele pot fi în mod indirect sub incidenţa legislaţiei naţionale a clienţilor lor, 
indiferent de legea aplicabilă în ţara în care se află sediul european al acestora. 


e Ca urmare, eforturile de armonizare a măsurilor de securitate cu privire la operatorii esenţiali ar fi 
binevenite. În timp ce statele membre au dreptul de a impune obligaţii mai stricte operatorilor esenţiali 
decât cele existente în temeiul Directivei (Articolul 3), noi recomandăm reţinere în acest sens şi încurajăm 
statele membre să depună eforturi în vederea unei abordări armonizate. Acest lucru ar putea fi realizat 
prin evitarea unor măsurisuplimentare în transpunerile naţionale şi prin încercarea de a stabili măsuri de 
securitate adecvate în cadrul Grupului de Cooperare, şi nu de concentrare pe procesul naţional. 


e Cerințele de securitate ar trebui să se bazeze, pe cât de mult posibil, pe standarde internaţionale (cum ar 
fi seria ISO 2 7x)şi pe cele mai bune practici de securitate recunoscute. 
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e Măsurile de securitate impuse OES-urilor nu ar trebui în niciun caz să solicite ca anumite produse TIC să 
fie proiectate, dezvoltate sau fabricate într-un anumit mod (Considerentul 51). 


b) Transferul raportării incidentelor de securitate 


e Operatorii de servicii esenţiale sunt obligaţi să raporteze DSP-urilor contractate incidentele de securitate 
care au impact asupra continuității serviciilor esenţiale ale acestora (Articolul 16.5). Prin urmare, DSP- 
urile vor fi obligate prin contract să raporteze operatorului esenţialîn cauză incidentele de securitate care 
ar putea avea impact asupra lor. 


e Apreciem flexibilitatea în calendarul de notificare pentru OES-uri implicată de expresia „fără întârziere 
nejustificată” (Articolul 14.3). Transpunerile naţionale nu ar trebui să introducă termene limită specifice 
şi, în orice caz, în cazul în care OES-urilor li se solicită să justifice timpul necesar pentru notificare, perioada 
în care sunt considerate ar trebui să înceapă din momentul în care OES-ul este informat cu privire la 
incident, şi nu din momentulîn care este informat DSP-ul. 


e Articolul 14.7 are în vedere Grupul de Cooperare care elaborează ghidul cu privire la circumstanţele de 
notificare, spre deosebire de rolul de armonizare al Comisiei pentru notificările DSP. Având în vedere 
cerința de raportare dublă pentru DSP-uri, este important ca cerinţele de notificare respective să nu fie 
contradictorii şi să fie aliniate pe cât de mult posibil. Prin urmare, acest proces ar trebui să fie verificat 
conform acestui obiectiv. În plus, cerinţele de notificare pentru DSP-uri ar trebui să respecte obligaţiile 
de confidenţialitate pe care acestea le au faţă de clienţii lor OES şi să nu le solicite acestora să divulge 
informaţii comerciale confidenţiale. 
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DIGITALEUROPE 


DESPRE DIGITALEUROPE 


DIGITALEUROPE reprezintă industria tehnologiilor digitale în Europa. Membrii noştri includ unele din cele mai mari companii 
şi asociaţii naţionale din fiecare parte a Europei din domeniul tehnologiei informaţiilor, telecomunicaţiilor şi produselor 
electronice de larg consum. DIGITALEUROPE doreşte ca întreprinderile şi cetăţenii din Europa să beneficieze pe deplin de 
tehnologiile digitale şi ca Europa să crească, să atragă şi să susţină cele mai bune companii din lume din domeniul 
tehnologiilor digitale. 


DIGITALEUROPE asigură participarea industriei la dezvoltarea şi punerea în aplicare a politicilor UE. Membrii DIGITALEUROPE 


includ 62 de membri persoane juridice şi 37 de asociaţii comerciale naţionale din întreaga Europă. Website-ul nostru oferă 
informaţii suplimentare privind noutăţile şi activităţile noastre recente: http;//www.digitaleurope.org 


COMPONENŢA DIGITALEUROPE 


Persoane juridice membre 


Airbus, Amazon Web Services, AMD, Apple, BlackBerry, Bose, Brother, CA Technologies, Canon, Cisco, Dell, Epson, Ericsson, 
Fujitsu, Google, Hewlett Packard Enterprise, Hitachi, HP Inc., Huawei, IBM, Ingram Micro, Intel, iQor, JVC Kenwood Group, 
Konica Minolta, Kyocera, Lenovo, Lexmark, LG Electronics, Loewe, Microsoft, Mitsubishi Electric Europe, Motorola Solutions, 
NEC, Nokia, Nvidia Ltd., Océ, Oki, Oracle, Panasonic Europe, Philips, Pioneer, Qualcomm, Ricoh Europe PLC, Samsung, SAP, 
SAS, Schneider Electric IT Corporation, Sharp Electronics, Siemens, Sony, Swatch Group, Technicolor, Texas Instruments, 
Toshiba, TP Vision, VMware, Western Digital, Xerox, Zebra Technologies, ZTE Corporation. 


Asociaţii comerciale naţionale 


Austria: IOO Franţa: AFNUM, Force Numérique, Regatul Unit:techUK 
Belarus: INFOPARK Tech in France România: ANIS, APDETIC 
Belgia: AGORIA Germania: BITKOM, ZVEI Slovacia: ITAS 
Bulgaria: BAIT Grecia:SEPE Slovenia: GZS 
Cipru: CITEA Irlanda: ICT IRELAND Spania: AMETIC 
Danemarca: DI Digital, IT-BRANCHEN Italia: ANITEC Suedia: Foreningen Teknikfăretagen 
Elveţia: SWICO Lituania: INFOBALT i Sverige, IT&Telekomfăretagen 
Estonia: ITL Olanda: Nederland ICT, FIAR Turcia: Digital Turkey Platform, ECID 
Finlanda: FFTI Polonia: KIGEIT, PIIT, ZIPSEE Ucraina: IT UKRAINE 

Portugalia: AGEFE Ungaria: IVSZ 
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